최근 유무선 통신 네트워크의 확산 및 고속화에 따라 인터넷 기술을 활용한 높은 수준의 확장성을 제공하는 클라우드 컴퓨팅 서비스(Cloud Computing Service) 이용이 증가하고 있다. 클라우드 컴퓨팅 서비스란 네트워크, 서버, 스토리지, 응용프로그램 등 다양한 컴퓨팅 자원들의 공유된 풀에 네트워크로 접근하여 언제든지 편리하게 사용 가능한 컴퓨팅 방식으로써 컴퓨팅 환경의 가상화라는 클라우드 컴퓨팅 서비스의 본질적인 특성으로 인해 디지털 포렌식 관점에서 사건 수사 시 데이터를 확보하는 일 자체가 어려운 현실에 직면했다. 본 논문에서는 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 관점의 연구와 IaaS 형태의 클라우드 컴퓨팅서비스 중 시장 점유율의 대부분을 차지하고 있는 AWS(Amazon Web Service)와 Rackspace에 대한 증거데이터 수집 및 분석방안을 제시한다.
최근 유무선 통신 네트워크의 확산 및 고속화에 따라 인터넷 기술을 활용한 높은 수준의 확장성을 제공하는 클라우드 컴퓨팅 서비스(Cloud Computing Service) 이용이 증가하고 있다. 클라우드 컴퓨팅 서비스란 네트워크, 서버, 스토리지, 응용프로그램 등 다양한 컴퓨팅 자원들의 공유된 풀에 네트워크로 접근하여 언제든지 편리하게 사용 가능한 컴퓨팅 방식으로써 컴퓨팅 환경의 가상화라는 클라우드 컴퓨팅 서비스의 본질적인 특성으로 인해 디지털 포렌식 관점에서 사건 수사 시 데이터를 확보하는 일 자체가 어려운 현실에 직면했다. 본 논문에서는 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 관점의 연구와 IaaS 형태의 클라우드 컴퓨팅서비스 중 시장 점유율의 대부분을 차지하고 있는 AWS(Amazon Web Service)와 Rackspace에 대한 증거데이터 수집 및 분석방안을 제시한다.
Recently, use of cloud computing service is dramatically increasing due to wired and wireless communications network diffusion in a field of high performance Internet technique. Cloud computing is a model for enabling convenient, on-demand network access to a shared pool of configurable computing re...
Recently, use of cloud computing service is dramatically increasing due to wired and wireless communications network diffusion in a field of high performance Internet technique. Cloud computing is a model for enabling convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. In a view of digital forensic investigation, it is difficult to obtain data from cloud computing service environments. therefore, this paper suggests analysis method of AWS(Amazon Web Service) and Rackspace which take most part in cloud computing service where IaaS formats presented for data acquisition in order to get an evidence.
Recently, use of cloud computing service is dramatically increasing due to wired and wireless communications network diffusion in a field of high performance Internet technique. Cloud computing is a model for enabling convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction. In a view of digital forensic investigation, it is difficult to obtain data from cloud computing service environments. therefore, this paper suggests analysis method of AWS(Amazon Web Service) and Rackspace which take most part in cloud computing service where IaaS formats presented for data acquisition in order to get an evidence.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
본 논문에서는 클라우드 컴퓨팅 서비스의 특징에 대해 소개하고, 클라우드 컴퓨팅 환경에서의 디지털 포렌식 문제점과 증거 데이터의 구성요소에 대해 설명한다. 마지막으로 클라우드 컴퓨팅 서비스의 핵심적인 모델인 IaaS(Infra as a Service)에 대한 디지털 포렌식 관점의 조사방법과 IaaS 모델 중 시장의 대부분을 점유하고 있는 Amazon Web Service(AWS)와 Rackspace에 대해 데이터 수집 및 분석 방안에 대해 제시한다.
수많은 클라우드 컴퓨팅 서비스들이 존재하는 현실에서 용의자가 클라우드 컴퓨팅 서비스를 이용했는지, 더 나아가 어떤 상용 서비스를 이용했는지를 파악하는 일 자체가 쉽지 않다. 따라서 본 연구에서는 클라우드 시그니처(Cloud Signature)라는 개념을 제시한다.
본 논문에서는 클라우드 컴퓨팅 서비스의 특성과 디지털 포렌식 관점의 문제점에 대해 설명하고, 디지털 포렌식 관점의 접근 절차를 제시했다. 또한, 대표적인 클라우드 컴퓨팅 서비스 IaaS 형태 중 높은 점유율을 보이는 AWS와 Rackspace에 대해 분석방안을 제시함으로써 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 조사 방법을 구체화하였다.
제안 방법
본 논문에서는 클라우드 컴퓨팅 서비스의 특징에 대해 소개하고, 클라우드 컴퓨팅 환경에서의 디지털 포렌식 문제점과 증거 데이터의 구성요소에 대해 설명한다. 마지막으로 클라우드 컴퓨팅 서비스의 핵심적인 모델인 IaaS(Infra as a Service)에 대한 디지털 포렌식 관점의 조사방법과 IaaS 모델 중 시장의 대부분을 점유하고 있는 Amazon Web Service(AWS)와 Rackspace에 대해 데이터 수집 및 분석 방안에 대해 제시한다.
본 연구에서는 [그림 3]과 같이 클라우드 컴퓨팅 서비스 환경에 대한 디지털 포렌식 조사 절차를 수립하였다.
결론적으로 앞으로의 디지털 포렌식 분석 과정에서는 [그림 4]에서 제시한 클라우드 컴퓨팅 서비스 디지털 포렌식 조사 절차에 따라 첫 번째 클라이언트에서 클라우드 시그니처를 이용하여 클라우드 서비스 유형별 사용흔적을 확인하고, 두 번째 확인된 서비스에 대한 클라이언트 관점에서 관련 데이터 흔적을 수집 및 분석을 진행한다. 클라우드 컴퓨팅 서비스는 기본적으로 웹브라우저를 통해 이용하는 형태를 가지기 때문에 클라이언트에 관련 흔적이 남을 수 있고, 그 외에 다양한 서비스 종속적 흔적 데이터가 존재할 수 있다.
앞서 수립한 클라우드 컴퓨팅 서비스 환경에서의 디지털 포렌식 조사 절차에 따라 IaaS 유형의 AWS(Amazon Web Service)를 분석한다.
구체적인 분석 절차는 먼저 대상 시스템에서 클라우드 시그니처를 통해 해당 클라우드 서비스의 사용유무를 확인하고, 분석 대상 시스템 사용자의 클라우드 컴퓨팅 서비스 사용여부가 확인되었다면 해당 서비스를 고려하여 웹 히스토리 분석이나 레지스트리 분석, 파일분석 등 일반적인 디지털 포렌식 분석과정에서의 클라우드 컴퓨팅 서비스 관련 정보를 수집 분석한다. 추가적으로 IaaS 유형의 클라우드 컴퓨팅 서비스의 경우 앞서 설명했듯이 원격지에 가상머신을 생성하여 원격접속을 통해 서비스를 이용하는 형태를 갖기 때문에 확인된 해당 서비스의 특징적인 원격접속 로그인 정보를 확인한다.
구체적인 분석 절차는 먼저 대상 시스템에서 클라우드 시그니처를 통해 해당 클라우드 서비스의 사용유무를 확인하고, 분석 대상 시스템 사용자의 클라우드 컴퓨팅 서비스 사용여부가 확인되었다면 해당 서비스를 고려하여 웹 히스토리 분석이나 레지스트리 분석, 파일분석 등 일반적인 디지털 포렌식 분석과정에서의 클라우드 컴퓨팅 서비스 관련 정보를 수집 분석한다. 추가적으로 IaaS 유형의 클라우드 컴퓨팅 서비스의 경우 앞서 설명했듯이 원격지에 가상머신을 생성하여 원격접속을 통해 서비스를 이용하는 형태를 갖기 때문에 확인된 해당 서비스의 특징적인 원격접속 로그인 정보를 확인한다.
AWS에서 제공하는 서비스 중 IaaS 모델 관점에 해당하는 서비스인 EC2(Elastic Compute Cloud)와 S3(Simple Storage Service), Cloud Front에 대해 분석을 진행한다.
마찬가지로 클라우드 컴퓨팅 서비스 환경에서의 디지털 포렌식 조사 절차에 따라 IaaS 유형의 Rackspace를 분석한다.
대부분의 클라우드 컴퓨팅 서비스와 마찬가지로 Rackspace 역시 웹 브라우저를 통해 해당 서비스에 접속한다. 따라서 웹 브라우저 히스토리 정보를 통해 해당 클라우드 서비스 접속기록을 확인한다.
본 논문에서는 클라우드 컴퓨팅 서비스의 특성과 디지털 포렌식 관점의 문제점에 대해 설명하고, 디지털 포렌식 관점의 접근 절차를 제시했다. 또한, 대표적인 클라우드 컴퓨팅 서비스 IaaS 형태 중 높은 점유율을 보이는 AWS와 Rackspace에 대해 분석방안을 제시함으로써 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 조사 방법을 구체화하였다.
대상 데이터
본 연구에서는 Network Layer를 제외한 Virual Cloud Instance와 Client System의 데이터 관점으로 분석을 진행한다.
[그림 5]는 IaaS 유형의 클라우드 서비스 제공사의 시장 점유율을 나타낸 그림으로써 AWS와 Rackspace가 점유율의 대부분을 차지하고 있음을 알 수 있다[5]. 국내의 경우 현재 AWS나 Rackspace와 같이 원격지에 사용자가 원하는 형태의 가상머신을 생성하여 컴퓨팅 환경을 제공하는 서비스형태가 존재하지 않기 때문에 국내외 사용자가 더욱 증가 것으로 판단되어 해당 서비스를 대상으로 분석을 진행하였다.
성능/효과
하나의 가상 시나리오로써 USB에 해당 원격 접속 주소와 패스워드를 파일형태로 저장한 후 임의의 시스템에서 사용할 경우 AWS URL정보의 aws & aToken 데이터 생성시간을 통해 용의자의 최초 AWS 사용시간을 확인하고, 그 다음 USB 접속내역과 시간정보를 통해 사용자의 USB 연결시간을 확인한 뒤 마지막으로 링크파일 시간정보를 확인한다면 용의자가 USB를 이용한 AWS 행위를 파악할 수 있다.
원격 접속 흔적의 경우 원격 데스크톱 연결이나 [그림 7]의 내용과 같이 레지스트리 정보를 통해 해당 주소를 확인 가능하다. 또한, IP2LOCATION 사이트에서 제공하는 서비스를 이용하여 ISP 정보와 도메인 정보를 확인하고 이 정보들을 통해서 Rackspace 서버인 것을 확인할 수 있다.
Rackspace의 클라우드 서버 IP와 계정 패스워드는 메일을 통해 전달되기 때문에, 시스템 조사 시 메일 계정을 획득한다면 Rackspace 서비스의 직접적인 접근이 가능하다. 또한, 클라이언트 시스템의 메모리 덤프 데이터를 이용해 메모리 내의 username이라는 시그니처를 갖는 Rackspace 아이디 정보와 password라는 시그니처를 갖는 패스워드 정보를 통해 Rackspace의 계정 데이터를 확인할 수 있다.
후속연구
또한 최초 클라우드 컴퓨팅 서비스의 사용여부를 확인하지 않은 채 기존의 디지털 포렌식 분석 절차를 수행한 후 뒤늦게 클라우드 컴퓨팅 서비스 사용을 확인했다면, 중요한 증거가 사라졌을 가능성이 존재한다. 따라서 디지털 증거 분석의 최초 과정에서 가장 먼저 클라우드 컴퓨팅 사용 유무를 확인한 후 본 논문에서 제시하는 클라우드 컴퓨팅 포렌식 조사 절차와 기존의 디지털 포렌식 조사 절차를 병렬로 진행하는 방안이 필요하다.
향후에는 IaaS에서 사용되는 다양한 가상머신 이미지에 대한 조사 방법과 IaaS 환경의 디지털 포렌식 수사에서 중요한 증거데이터로 활용될 수 있는 Snapshot 데이터에 대한 분석을 진행할 계획이다.
질의응답
핵심어
질문
논문에서 추출한 답변
클라우드 컴퓨팅 서비스는 이용자 관점에서 어떤 장점이 있나?
클라우드 컴퓨팅 서비스는 이용자 관점에서 간단하고 유연하게 컴퓨팅 자원을 활용할 수 있다는 큰 장점이 있지만 정전 혹은 데이터 자체의 훼손 및 유출 등 보안관점의 위험 또한 존재한다.
클라우드 컴퓨팅 서비스에서는 증거 데이터로 활용 가능한 세 가지 형태의 요소가 존재하는데, 이 요소들은 무엇인가?
첫 번째 요소인 Virtual Cloud Instance는 클라우드 내에 존재하는 가상 인스턴스로써 데이터가 저장된 위치나 프로세스가 구동된 위치와 같은 잠재적인 증거를 제공할 수 있다. 이 인스턴스는 CSP(Cloud Service Provider)와 인스턴스를 구동하고 있는 사용자 모두 접근이 가능하지만, SaaS와 PaaS 에서는 가상 인스턴스에 접근하는 것이 매우 제한적이거나 불가능하다.
두 번째 요소는 Network Layer로써 클라우드의 외부 인스턴스와 내부 인스턴스 사이의 통신 정보와 프로토콜의 여러 정보를 제공한다. 하지만 현재 일반적인 CSP는 네트워크 구성들의 로그 데이터를 제공하지 않는다.
세 번째 요소는 Client System으로써 시스템 내의 브라우저는 클라우드 내의 서비스와 통신하는 응용 프로그램 역할을 수행하기 때문에 브라우저를 분석하여 얻은 데이터는 중요한 증거데이터로 활용 가능하다.
클라우드 컴퓨팅 서비스는 무엇인가?
최근 유무선 통신 네트워크의 확산 및 고속화에 따라 인터넷 기술을 활용한 높은 수준의 확장성을 제공하는 클라우드 컴퓨팅 서비스(Cloud Computing Service) 이용이 증가하고 있다. 클라우드 컴퓨팅 서비스란 네트워크, 서버, 스토리지, 응용프로그램 등 다양한 컴퓨팅 자원들의 공유된 풀에 네트워크로 접근하여 언제든지 편리하게 사용 가능한 컴퓨팅 방식으로써 컴퓨팅 환경의 가상화라는 클라우드 컴퓨팅 서비스의 본질적인 특성으로 인해 디지털 포렌식 관점에서 사건 수사 시 데이터를 확보하는 일 자체가 어려운 현실에 직면했다. 본 논문에서는 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 관점의 연구와 IaaS 형태의 클라우드 컴퓨팅서비스 중 시장 점유율의 대부분을 차지하고 있는 AWS(Amazon Web Service)와 Rackspace에 대한 증거데이터 수집 및 분석방안을 제시한다.
참고문헌 (9)
Gartner, "Gartner Says Worldwide Cloud Services Market to Surpass $68 Billion in 2010," Gartner Newsroom, June 2010.
Peter Mell and Timothy Grance, "The NIST Definition of Cloud Computing," NIST Special Publication 800-145(Draft), pp. 1-3 , September 2011.
Mark Taylor, John Haggerty, David Gresty, and David Lamb, "Forensic Investigation of Cloud Computing Systems," Network Security, March 2011.
Dominik Birk, Technical Challenges of Forensic Investigations in Cloud Computing Environments," Workshop on Cryptography and Security in Clouds, January 2011.
Jack of all Clouds, "State of the Cloud," Jack of all Clouds, January 2011.
Faith Shimba, "Cloud Computing : Strategies for Cloud Computing Adoption," Dublin Institute of Technology, pp. 1-117, September 2010.
Cyril Onwubiko, "Security Issues to Cloud Computing," Computer Communications and Networks, pp. 271-288 , July 2009.
고려대학교 디지털포렌식연구센터, "디지털 증거처리 가이드라인", 고려대학교 디지털포렌식연구센터, http://forensic.korea.ac.kr/dfrc/sub_ guideline/download/guideline_1.pdf.
Junghoon Oh, Seungbong Lee, and Sangjin Lee, "Advanced evidence collection and analysis of web browser activity," DFRWS, pp. 62-70 , August 2011.
이 논문을 인용한 문헌
저자의 다른 논문 :
연구과제 타임라인
LOADING...
LOADING...
LOADING...
LOADING...
LOADING...
활용도 분석정보
상세보기
다운로드
내보내기
활용도 Top5 논문
해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다. 더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.